Vulnerability assessment: il punto di partenza della sicurezza IT
Il Vulnerability assessment è un processo di identificazione e classificazione delle vulnerabilità di un’infrastruttura informatica, ossia dei punti deboli di un sistema informativo aziendale.
E’ il punto di partenza per valutare quanto un’infrastruttura sia effettivamente esposta ai rischi e, di conseguenza, ci aiuta a definire dove sia meglio concentrare i nostri investimenti per una sufficiente prevenzione.
La scansione delle vulnerabilità (termine che meglio traduce in italiano il termine Vulnerability assessment) prevede la valutazione delle vulnerabilità assegnando loro un livello di gravità e le raccomandate azioni di rimedio o mitigazione.
Esistono diversi tipi di Vulnerability assessment:
- Host assessment: valutazione delle vulnerabilità di un server
- Network assessment: valutazione della rete e degli apparati di accesso
- Database assessment: valutazione delle vulnerabilità di un database
- Application assessment: valutazione delle vulnerabilità di un applicazione aziendale
Le 4 fasi che identificano un Vulnerability assessment
Le 4 fasi che identificano un Vulnerability assessment sono:
- Identificazione della vulnerabilità del sistema in esame (vulnerabilità della rete, del server o del sito web)
- Analisi delle vulnerabilità
- Valutazione del rischio
- Risoluzione
Identificazione della vulnerabilità
L'obiettivo di questo passaggio è redigere un elenco completo delle vulnerabilità.
Gli analisti della sicurezza testano lo stato della sicurezza di applicazioni, server o altri sistemi scansionando con strumenti automatizzati o testandoli e valutandoli manualmente.
Gli analisti si affidano anche a database di vulnerabilità, annunci di vulnerabilità dei fornitori, sistemi di gestione delle risorse e feed di intelligence sulle minacce per identificare i punti deboli della sicurezza.
Analisi delle vulnerabilità
L'obiettivo di questa fase è identificare l'origine e la causa principale delle vulnerabilità identificate nella fase uno.
Implica l'identificazione dei componenti di sistema responsabili di ciascuna vulnerabilità e la causa principale della vulnerabilità.
Ad esempio, la causa principale di una vulnerabilità potrebbe essere una vecchia versione di una libreria open source.
Ciò fornisce una soluzione chiara per sanare la vulnerabilità: l'aggiornamento della libreria.
Valutazione del rischio
L’obiettivo di questo passaggio è la definizione delle priorità delle vulnerabilità.
- Implica gli analisti della sicurezza che assegnano un grado o un punteggio di gravità a ciascuna vulnerabilità, in base a fattori quali:
- sistemi interessati
- dati a rischio
- funzioni aziendali a rischio
- facilità di attacco
- gravità di un attacco
- potenziale danno a causa della vulnerabilità